März 5, 2026

Klausel 7.2 Kompetenz

(nach ISO/IEC 27001:2022)

Die Wirksamkeit des Informationssicherheitsmanagementsystems (ISMS) hängt maßgeblich von den Kompetenzen der Personen ab, die Aufgaben mit Einfluss auf die Informationssicherheit ausführen. Fehlende oder unzureichende Kenntnisse können dazu führen, dass Sicherheitsmaßnahmen falsch umgesetzt, Risiken nicht erkannt oder Vorfälle nicht angemessen behandelt werden. Diese Klausel stellt sicher, dass relevante Personen kompetent sind und ihre Aufgaben wirksam erfüllen können.

Zweck der Klausel

Klausel 7.2 soll gewährleisten, dass Personen, die Aufgaben mit Einfluss auf die Informationssicherheit ausführen, über die erforderliche Kompetenz verfügen. Ziel ist es, durch geeignete Qualifikation, Schulung und Erfahrung die Wirksamkeit des ISMS sicherzustellen.

Anforderungen und Maßnahmen

1. Ermittlung erforderlicher Kompetenzen

Die Organisation muss die notwendigen Kompetenzen bestimmen, insbesondere für:

  • Rollen im ISMS
  • sicherheitsrelevante Aufgaben und Prozesse
  • Entscheidungs- und Führungsfunktionen
  • technische und organisatorische Sicherheitsaufgaben

Die Anforderungen müssen dokumentiert sein.

2. Bewertung bestehender Kompetenzen

Bestehende Kompetenzen müssen bewertet werden:

  • Qualifikationen und Ausbildung
  • praktische Erfahrung
  • Kenntnisse relevanter Richtlinien und Prozesse
  • Fähigkeit zur Umsetzung von Sicherheitsanforderungen

So werden Kompetenzlücken erkannt.

3. Planung und Durchführung von Maßnahmen

Zur Schließung von Kompetenzlücken müssen Maßnahmen geplant werden:

  • Schulungen und Weiterbildungen
  • On-the-Job-Training
  • Coaching oder Mentoring
  • Nutzung externer Schulungsangebote

Die Maßnahmen müssen angemessen sein.

4. Sicherstellung der Wirksamkeit von Maßnahmen

Die Wirksamkeit der Maßnahmen muss überprüft werden:

  • Erfolgskontrollen
  • Feedback der Teilnehmenden
  • Beobachtung der Aufgabenwahrnehmung
  • Bewertung im Rahmen von Audits

So wird sichergestellt, dass Kompetenz aufgebaut wird.

5. Berücksichtigung externer Personen

Auch externe Personen müssen kompetent sein:

  • Dienstleister und Berater
  • externe Auditoren
  • ausgelagerte Funktionen

Die Organisation muss deren Kompetenz sicherstellen oder nachweisen lassen.

6. Sensibilisierung für Informationssicherheit

Neben Fachkompetenz ist Sensibilisierung erforderlich:

  • Verständnis für Risiken und Bedrohungen
  • Kenntnis sicherheitsrelevanter Verhaltensregeln
  • Bewusstsein für Meldepflichten
  • Förderung einer Sicherheitskultur

Sensibilisierung ergänzt formale Kompetenz.

7. Aufrechterhaltung und Weiterentwicklung der Kompetenz

Kompetenzen müssen aktuell gehalten werden:

  • regelmäßige Auffrischungsschulungen
  • Berücksichtigung neuer Bedrohungen
  • Anpassung an technologische Entwicklungen
  • Weiterentwicklung im Rahmen der ISMS-Verbesserung

So bleibt das ISMS wirksam.

8. Dokumentation und Nachweisführung

Kompetenzen und Maßnahmen müssen dokumentiert sein:

  • Qualifikations- und Schulungsnachweise
  • Kompetenzprofile für Rollen
  • Nachweise über durchgeführte Maßnahmen
  • Bewertungen der Wirksamkeit

Die Dokumentation ist auditrelevant.

Zusammenfassung

Klausel 7.2 fordert, dass Organisationen sicherstellen, dass Personen mit Aufgaben im Bereich der Informationssicherheit über die erforderliche Kompetenz verfügen. Durch die systematische Ermittlung von Kompetenzanforderungen, gezielte Schulungs- und Entwicklungsmaßnahmen sowie die regelmäßige Überprüfung der Wirksamkeit wird die Grundlage für ein funktionierendes Informationssicherheitsmanagementsystem geschaffen. Diese Klausel ist ein zentraler Erfolgsfaktor für die nachhaltige Umsetzung der ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 7.2 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 7.2 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Kompetenzen brauchen Ihre ISMS-Rollen?“
Erst das Soll, dann der Nachweis. Ohne definiertes Anforderungsprofil lässt sich Kompetenz nicht belegen.
„Womit belegen Sie die Kompetenz der handelnden Personen?“
Zeugnisse, Schulungen oder Erfahrung – die Norm lässt offen, womit. Aber dokumentierte Information muss vorliegen.
„Was haben Sie getan, als Kompetenz fehlte?“
Klausel 7.2 c) verlangt Maßnahmen bei Lücken. Genau hier wird es im Audit konkret.
„Wie wirksam waren diese Maßnahmen?“
Die Norm verlangt die Bewertung der Wirksamkeit. Eine Teilnahmebestätigung allein beantwortet das nicht.
Das Dokument dazu

7.2-1 Verfahren zur Entwicklung der Informationssicherheitskompetenz

Anforderungsprofile je ISMS-Rolle · Nachweise über Ausbildung, Schulung und Erfahrung · Maßnahmen bei Kompetenzlücken und deren Bewertung. In der ISMS-Plattform sind Schulungen mit automatischem Teilnahme-Tracking hinterlegt.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick